refactor: P2 core+common 建设（应用工厂/扩展/工具层迁入 src/）

【结构】
- src/core/：database/response/jwt/password/security/redis_client/mail/scheduler
- src/common/：base_model/base_db/forms(base_form+fields)/constants/utils
- src/models_registry.py：模型聚合器（Flask-Migrate 全量表识别）

【绞杀者 shim】extensions/、utils/、application/constants|forms|models 打兼容转发
【兼容修复】应用工厂抽取至 application/factory.py（P2 前置，P1 已完成）

【基线修复】application/models(25) + middleware(7) 原被嵌套 .gitignore(*)
误排除出版本库，已补入（base_model/base_db 现为 shim，原版在 src/common/）

【登记既有缺陷】
1. flask db CLI 因 .env FLASK_VERSION 与 --version 冲突报错 → Makefile 已加 FLASK_SKIP_DOTENV=1
2. 本机 Redis 未设密码但 REDIS_AUTH=True，/captcha 报 AUTH 错误（环境问题）

【验收】22 模型表全量识别；src/ flake8 零告警；pytest 5 passed；应用启动；
/login 表单校验、/user/page 鉴权拦截冒烟正常

Co-Authored-By: Claude <noreply@anthropic.com>

application/middleware/check_demo.py

@@ -0,0 +1,39 @@
+"""
+演示模式拦截装饰器
+=============================================================
+
+在演示环境（FLASK_DEMO=True）下拦截所有写操作，
+返回"演示环境，暂无操作权限"提示。
+
+使用方式：
+    在 View 路由函数上添加 @check_demo 装饰器，
+    替代原有的 if FLASK_DEMO: return R.failed(...) 判断。
+"""
+
+from functools import wraps
+
+from config import FLASK_DEMO
+from utils import R
+
+
+def check_demo(func):
+    """
+    演示模式拦截装饰器
+
+    当 FLASK_DEMO=True 时，拦截写操作并返回提示。
+    应放在 @check_permission 之后、路由函数之前。
+
+    Example:
+        @position_blue.route('/add', methods=["POST"])
+        @check_permission("sys:position:add")
+        @check_demo
+        def add():
+            result = position.add_position()
+            return result
+    """
+    @wraps(func)
+    def wrapper(*args, **kwargs):
+        if FLASK_DEMO:
+            return R.failed("演示环境，暂无操作权限")
+        return func(*args, **kwargs)
+    return wrapper